Открытая платформа ИБ: как превратить инструментальный зоопарк в единую экосистему
С того момента как я начал изучать концепции, тактики и модели построения информационной безопасности, то стал всё чаще и чаще цепляться за несоответствие концепций и продуктов. Многие компании-разработчики отечественных продуктов начинают смешивать понятие продукта (по сути, инструмента для...
Новости кибербезопасности за неделю с 26 мая по 1 июня 2025
Всё самое интересное из мира кибербезопасности /** с моими комментариями. На этой неделе новости про: раскрытие секретной сети ЦРУ; как с помощью ИИ нашли 0-day в ядре linux; ценовое исследование darkweb; про тюремные сроки для дропперов и другие только самые важные и интересные новости этой...
SmartCaptcha Yandex на iOS: инструкция по внедрению
Привет! Меня зовут Александр, я iOS-разработчик в IT-компании SimbirSoft. В этой статье я расскажу, как интегрировать Yandex SmartCaptcha в iOS-приложение — от подготовки до решения возможных трудностей. Настройка Yandex SmartCaptcha на первый взгляд может показаться простой задачей, но на практике...
РПшники тоже ошибаются
Руководитель проекта — это по факту главный человек на проекте. Да, в любой проектной команде есть архитекторы, тимлиды, инженеры, менеджеры по продажам, но по факту все они несут свои проблемы и идеи к проектному менеджеру и с ним решают, что делать дальше. Именно в руках РП находятся все нити...
Безопасная сборка Docker-образов в CI: пошаговая инструкция
Привет, Хабр! Я Саша Лысенко, ведущий эксперт по безопасной разработке в К2 Кибербезопасность. Сейчас появилась куча инструментов для автоматизации рутинных задачи и все активно идут в эту сторону для оптимизации ресурсов и быстрых результатов. Так в DevOps внедрение CI/CD пайплайнов ускоряет...
Информационная безопасность для цифровых кочевников
Привет! Меня зовут Аня, я менеджер продукта в департаменте информационной безопасности Ozon Tech. Сейчас я занимаюсь проектом по внедрению дополнительных механизмов проверки прав пользователей при доступе к корпоративным ресурсам. Этот опыт помог мне иначе взглянуть на угрозы, с которыми...
Аудит информационной безопасности: комплексная модель оценки зрелости процессов
Вопрос зрелости практик информационной безопасности волнует практически каждую российскую компанию: кибератаки становятся изощреннее, требования регуляторов ужесточаются, а импортозамещение требует быстро перестраивать ИТ-процессы. Как понять, насколько ваша система действительно надежна, где...
Вкратце об анонимных сетях и задачах анонимизации | Proxy, Onion, Dining Cryptographers, Queue Based, Entropy Increase
Каждую анонимную сеть можно классифицировать различным образом - можно смотреть на сетевую архитектуру: децентрализованная она или гибридная, можно смотреть на открытость или закрытость исходного кода, можно смотреть на то, каким образом пакеты маршрутизируются в системе, можно сравнивать модели...
Взлом уязвимой операционной системы Vulnix. Уязвимая служба/протокол smtp
Всех приветствую, читатели Хабра! В сегодняшней статье я поделюсь примером взлома уязвимой ОС Vulnix и энумерацией порта/сокета/службы smtp. После чего опять же пример брутфорса паролей Примечание Правовая информация: Данная статья создана исключительно в ознакомительных/образовательных/развивающих...
Четыре взлома ИТ-инфраструктуры, один из которых выдуман. Какой?
Публикуем примеры взлома информационной инфраструктуры четырех объектов. Под раздачу попали: банк, два дата‑центра и умный дом. Как видно из заголовка, только три варианта произошли в реальности, а один мы выдумали сами. Ответы — в конце статьи. Полагаем, что учиться на чужих ошибках всегда...
[Перевод] Обход двухфакторной аутентификации в публичной баг-баунти программе: путь к $6000
Находить уязвимости в публичных программах — это одновременно захватывающе и прибыльно. В этом посте я расскажу, как обнаружил и использовал уязвимость обхода 2FA в одной публичной баг-баунти программе (название скрыто, используется redacted.com из соображений конфиденциальности), что принесло мне...
Информационной безопасности в малом и среднем бизнесе не существует
Я давно в ИТ, помню хриплые стоны модема и то, почему кота зовут Зухелем. Всё это время мне казалось, что сейчас ещё чуть-чуть — и у нас будет нормальная ИБ. Все эти годы. Но на самом деле ИБ в малом и среднем бизнесе нет. И не будет. То, что мы иногда видим под вывеской ИБ, — это либо иллюзия,...
Как ИИ меняет кибербезопасность: от детектирования угроз до нейропомощников
Искусственный интеллект уже не просто тренд — это рабочий инструмент, который сокращает время реагирования на атаки, автоматизирует рутину и даже предугадывает действия злоумышленников. Разбираемся вместе с Максимом Бузиновым, руководителем R&D-направления Центра технологий кибербезопасности ГК...
Новости кибербезопасности за неделю с 19 по 25 мая 2025
Все самое интересное из мира кибербезопасности /** с моими комментариями На этой неделе в новости про: побитие рекорда DDOS в России; итоги соревнований Pwn2Own 2025; то, что Signal не доверяет ИИ Windows, аWSL выходит в Open Source и ещё немного новостей, но только самое интересное и важное!...
ИИ и проблемы его безопасности
Искусственный интеллект сейчас везде — практически любое более‑менее серьезное приложение использует в своей работе ИИ. И хотя во многих случаях использование ИИ — это скорее маркетинговый ход, чем реальное применение, стоит заметить, что за технологиями искусственного интеллекта будущее. И о...
История одного SSO: как мы подружили два независимых каталога пользователей через Keycloak
Привет, Хабр! Меня зовут Аскар Добряков, я ведущий эксперт направления защиты бизнес-приложений в К2 Кибербезопасность. При внедрении Single Sign-On, на первый взгляд, все должно идти по накатанной схеме: настраиваем федерацию со службой каталогов, связываем identity provider с service provider,...
[Перевод] Как я взломал миллионы умных весов через уязвимости в API и железе
Сегодня расскажу, как мне удалось перехватить управление миллионами смарт-весов, подключенных к интернету. Причина — уязвимость в механизме привязки весов к пользователю, превратившая эти устройства в идеальные мишени для атак. Эта находка наглядно показывает, что аппаратная и веб-безопасность —...
Зашифруй или проиграешь: реальные истории провалов из-за слабой криптографии
Вы думаете, что данные защищены, потому что «все зашифровано»? Взломы из-за криптографии — это не про хакеров в черных худи с суперкомпьютерами. Чаще всего причина — простая халатность: кто-то включил TLS, но забыл отключить SSL 3.0, кто-то шифровал пароль, но на MD5 без строки salt. В этой статье...